「先を見なければ未来はない」 横浜市CISO補佐監が挑むAI時代の新セキュリティ戦略：セキュリティ先進企業へのショートカット（1/2 ページ）

日本最大規模の基礎自治体である横浜市はDXやセキュリティ戦略をどのように進めているのか。システムやCSIRT体制の整備から、AI時代のリスクとそれに向けた備えまで、自治体DX・セキュリティ戦略の最前線が明らかになった。

[鈴木恭子，ITmedia]

この連載について

「セキュリティ先進企業へのショートカット」は、CISOやCSIRT責任者といったキーパーソンに、セキュリティ組織をなぜ立ち上げ、またはどのように運用しているかなどを深堀りして聞き、セキュリティ体制構築・強化のショートカットにつながる情報を届ける連載だ。

ショートカットとは“楽をすること”ではなく、取り組みを地道かつ効率的に進めることに他ならない。先進企業の事例からそのヒントを学んでほしい。

　本連載第3回は、日本最大規模の基礎自治体・横浜市でCIO・CISO補佐監を兼務する福田次郎氏に話を聞いた。不審な電子メールは年ごとに倍増し、地政学的リスクも無視できない状況にある。

　日本年金機構の情報流出事件を契機に導入された三層分離やCSIRT体制の整備、巧妙化する攻撃への対応、人材育成の試行錯誤、そして生成AI活用の舞台裏まで──。巨大自治体ならではの制約の中で、横浜市はいかに安全と利便性を両立させているのか。三菱総合研究所出身の異色CISO（最高情報セキュリティ責任者）補佐監が自治体セキュリティの最前線を語った。

異色の元コンサルタントが挑む　日本最大規模の基礎自治体のDX戦略とは？

――最初に横浜市の組織規模を教えてください。

福田氏：　横浜市は人口約377万人を擁する、日本最大規模の基礎自治体です。教職員を含む職員数は約4万6千人以上で、市内には18の区役所があります。年間の行政手続きは約1900万件以上で、福祉・保健の相談は約50万件に上り、その業務量は膨大です。さらに水道や下水道、交通といった公共サービスを担う企業局を抱え、独自の会計による事業と情報ネットワークを運用しています。いわば、巨大なグループ企業に近い組織体です。

横浜市の福田次郎氏（CIO補佐監　CISO補佐監　デジタル統括本部　デジタル技術統括シニアディレクター）（筆者撮影）

――その横浜市で福田さんはCIO（最高情報責任者）補佐監、CISO補佐監を兼務されています。どのような背景で今の役職に就いたのでしょうか。

福田氏：　私はもともと三菱総研でコンサルタントとして働いており、2015年に横浜市に赴任しました。当時、横浜市には非常勤のCIO補佐監がおられましたが、ICTの重要性が増しつつあり「常勤のCIO補佐監が必要ではないか」という議論がありました。その流れで相談があり、常勤のCIO補佐監として着任したのです。

　2015年は、日本年金機構で情報流出事件（以下、年金機構事件）が発生した年でもあります。これを受けて総務省は全国の自治体に「CISOの設置」と「CSIRTの設置」を要請しました。こうした背景から私はCIO補佐監に加えCISO補佐監も兼任することになったのです。

　私が着任した当初は、セキュリティはミッションの一部でした。CISO補佐監となって、ミッションはセキュリティポリシー策定、情報資産管理、インシデント対応、監査、コンプライアンスの維持など、大きく拡がりました。

――横浜市は2022年9月、「横浜DX戦略」を打ち出しました。その狙いを教えてください。

福田氏：　まず目的として挙げられるのは「行政サービスの品質向上」と「職員の業務負荷軽減」です。横浜市がこれから直面する課題は、「2040年問題」です。2040年には就労人口が2割減少し、後期高齢者が1.2倍に増加すると予測されています。つまり単純計算で、現在の1.5倍の効率で行政を運営する必要があります。限られた人員でサービスを維持・向上させるためには、業務のオンライン化・自動化、そしてAI（人工知能）の利活用が不可欠です。

　横浜市では「行政のDX」「地域のDX」「都市のDX」の3つの重点分野としています。

横浜市のDX戦略（出典：横浜市提供資料）

　横浜市のDX戦略を実現する上では、DXを支える体制や基盤、データインフラの整備とともに、セキュリティ対策の強化が不可欠です。特に「地域のDX」「都市のDX」では都市インフラも攻撃対象となり得るため、IoTなどの対策も必要があります。デジタル化に伴うリスクは、情報漏えいだけではありません。

CSIRT構築と三層分離　苦い経験からセキュリティ基盤を確立するまで

――次にセキュリティへの取組みについてうかがいます。年金機構事件以降、各自治体ではセキュリティ体制の強化が進みました。横浜市ではどのように変革を進めていったのですか。

福田氏：　年金機構事件が発生する以前から、横浜市はセキュリティ対策を重要テーマの一つに掲げていました。ただし体制面では課題があったのも事実です。例えば、インシデント発生時にネットワークを止める権限が不明確だったり、情報を共有する会議体が十分整備されていなかったりといった状況でした。

　そこでCISO補佐監の新設をきっかけに、指揮命令系統を整理し、CISOの職務権限を明文化した規則を策定し、セキュリティ委員会などの会議体を設け、CSIRTの立ち上げを実施しました。

　当時の最大の変革は「ネットワークの三層分離」です。これは「住民情報系」「業務系（LGWAN接続系）」「インターネット接続系」の3つを物理的・論理的に切り分ける仕組みで、年金機構事件を契機に総務省の方針と補助政策を受けて、全国的の自治体に導入されました。横浜市も2016〜2017年にかけて導入し、住民情報など機密性の高いデータを守る基盤を構築しました。

横浜市が2016〜2017年にかけて導入した三層分離のセキュリティ（出典：横浜市提供資料）

　この構造は堅牢（けんろう）である一方で、行政手続きのオンライン化やクラウド導入を阻み、テレワークへの対応も困難にするなど、市民サービスの充実や利便性とのトレードオフが課題となりました。このため横浜市では、業務端末や業務システムをインターネット接続系に配置する「β'（ベータダッシュ）モデル」への段階的な移行を進めています。

現在の三層分離のセキュリティ（出典：横浜市提供資料）

　ただしインターネットに接続する端末やシステムが増加すれば、当然マルウェア感染や標的型攻撃などのリスクは高まります。また、管理対象の増加による複雑化から新たなセキュリティホールが生じる可能性もあり、ゼロトラストなど従来以上に強固で多層的なセキュリティ対策の実装が不可欠です。

――サイバーセキュリティの体制も見直したとのことですが、横浜市のCSIRT体制はどのように構築されているのでしょうか。

福田氏：　横浜市のCSIRTは3つの階層で運営しています。CSIRTの上位には、副市長（CISO）が委員長を務め、局のトップが集まって方針を決定する「情報セキュリティ委員会」があります。CISO補佐監がCSIRT責任者を務め、その下の中間層では、CSIRT管理者としてデジタル統括本部のセキュリティ担当課長と各課のネットワーク責任者と連携し、通常時の運用や調整を担っています。そして現場レベルでは、行政・住民情報や水道、交通、病院、教育などのネットワークごとに要員を配置し、重要インフラを含め全庁で統一的にインシデント対応を実施する仕組みです。

インシデント発生時のリスクコントロール（出典：横浜市提供資料）

――CSIRTにはどのくらいの人が携わっているのですか。

福田氏：　現場の担当を含め全体で20〜30人規模ですが、専任を増員したのではなく、既存の情報システム担当者に役割を割り振って組織化しています。基本的には「インシデント発生時に迅速に動ける体制」であり、平常時は定期的に演習を実施して備えています。幸いにもこれまで重篤な事案はなく、大規模な対応活動を要するような状況には至っていません。